Τα κινεζικά σκάνερ χωρίς φάκελο

Οι τελωνειακές αρχές της Εσθονίας και το αεροδρόμιο του Ταλίν χρησιμοποιούν εδώ και χρόνια εξοπλισμό ακτινοσκόπησης της Nuctech, κινεζικής κρατικής εταιρείας (Postimees). Τα δημόσια διαθέσιμα στοιχεία δεν αποδεικνύουν υπόθεση κατασκοπείας. Δείχνουν, όμως, ένα κενό λογοδοσίας: δεν έχουν δημοσιοποιηθεί οι φάκελοι των διαγωνισμών, οι όροι των συμβάσεων, οι αξιολογήσεις κινδύνου για την ασφάλεια ούτε οι ρυθμίσεις για τις ενημερώσεις λογισμικού και τη συντήρηση. Το ουσιαστικό ερώτημα είναι αν η αγορά αυτή αντιμετωπίστηκε ποτέ ως αυτό που προφανώς είναι: μια απόφαση με ευαίσθητες προεκτάσεις για την ασφάλεια.

Το μηχάνημα δεν είναι αυτό που φανταζόμαστε

Ένας σαρωτής αποσκευών μοιάζει με παθητική μεταλλική σήραγγα. Στην πράξη, βρίσκεται πολύ πιο κοντά σε έναν δικτυωμένο υπολογιστή πάνω στον οποίο έχει προσαρμοστεί μια πηγή ακτίνων Χ. Οι σύγχρονοι σαρωτές αεροδρομίων που βασίζονται σε αξονική τομογραφία συλλέγουν εικόνες από πολλές γωνίες και στη συνέχεια το λογισμικό συνθέτει τρισδιάστατες απεικονίσεις, τις οποίες οι χειριστές μπορούν να περιστρέφουν και να «κόβουν» σε τομές για να ελέγχουν το περιεχόμενο (NIST). Το μηχάνημα καταγράφει όσα σαρώνει, επισημαίνει ύποπτα αντικείμενα και χρειάζεται τακτικές ενημερώσεις λογισμικού ώστε η ανίχνευση να παραμένει ακριβής.

Αυτό το επίπεδο λογισμικού είναι ο λόγος για τον οποίο έχει σημασία η σχέση με τον προμηθευτή. Οι κατασκευαστές συνήθως διατηρούν απομακρυσμένη πρόσβαση για να κρατούν τα μηχανήματα σε λειτουργία, κάτι σαν ψηφιακό αντικλείδι για το κτίριο. Μπορεί να είναι αναγκαίο για επισκευές, αλλά ο αγοραστής πρέπει να γνωρίζει ποιος το κρατά, πότε το χρησιμοποιεί και τι μπορεί να ανοίξει. Οι οδηγίες ασφαλείας του ENISA και του βρετανικού NCSC προειδοποιούν ότι αυτά τα κανάλια συντήρησης μπορούν να μετατραπούν σε διόδους μη εξουσιοδοτημένης πρόσβασης ή αθόρυβων αλλαγών στις ρυθμίσεις.

Για σαρωτές σε σύνορα, αυτό σημαίνει ότι όποιος διαθέτει βαθιά πρόσβαση στο σύστημα θα μπορούσε, θεωρητικά, να δει εικόνες ελέγχου ή να μεταβάλει τα όρια ανίχνευσης ώστε το μηχάνημα να γίνει λιγότερο ευαίσθητο σε ορισμένα αντικείμενα, χωρίς να το αντιληφθούν οι χειριστές. Πρόκειται για δομικούς κινδύνους, καλά τεκμηριωμένους στον κλάδο. Δεν αποτελούν απόδειξη ότι κάποιο συγκεκριμένο μηχάνημα της Nuctech έχει παραβιαστεί.

Οι Βρυξέλλες εξετάζουν το χρήμα, όχι την κατασκοπεία

Η κίνηση της Ευρωπαϊκής Επιτροπής κατά της Nuctech είναι έρευνα ανταγωνισμού, όχι διαπίστωση ζητήματος ασφαλείας. Τον Απρίλιο του 2024, κλιμάκια της Επιτροπής επιθεώρησαν εγκαταστάσεις που συνδέονται με τη Nuctech στην Πολωνία και την Ολλανδία, στο πλαίσιο του Κανονισμού για τις Ξένες Επιδοτήσεις. Από το 2023, ο κανονισμός επιτρέπει στις Βρυξέλλες να ερευνούν αν η χρηματοδοτική στήριξη από κυβέρνηση εκτός ΕΕ βοήθησε μια εταιρεία να υποβάλει χαμηλότερες προσφορές από τους ανταγωνιστές της σε ευρωπαϊκούς διαγωνισμούς (Ευρωπαϊκή Επιτροπή). Η Nuctech αμφισβήτησε πλευρές της διαχείρισης των δεδομένων που προέκυψαν από τις εφόδους αυτές· το Γενικό Δικαστήριο της ΕΕ απέρριψε το αίτημά της για προσωρινά μέτρα τον Ιούλιο του 2024. Τελική απόφαση δεν έχει δημοσιευθεί.

Η διάκριση έχει σημασία. Οι Βρυξέλλες εξετάζουν αν οι χαμηλές τιμές που στηρίζονται από κρατικό χρήμα στρέβλωσαν τον ανταγωνισμό. Αυτό είναι διαφορετικό ερώτημα από το αν τα μηχανήματα μπορούν να θεωρηθούν ασφαλή, και ο συγκεκριμένος κανονισμός δεν μπορεί να απαντήσει στο σκέλος της ασφάλειας.

Εθνική αγορά, κοινός κίνδυνος

Οι σαρωτές στα εξωτερικά σύνορα της ΕΕ αγοράζονται σε εθνικό επίπεδο, από τις επιμέρους τελωνειακές αρχές και τα αεροδρόμια. Όταν, όμως, τα εμπορεύματα περάσουν από το εσθονικό τελωνείο, κυκλοφορούν ελεύθερα στην ενιαία αγορά, τη ζώνη των 27 χωρών όπου τα προϊόντα μετακινούνται χωρίς νέους συνοριακούς ελέγχους. Οι επιβάτες που ελέγχονται στο Ταλίν μπορούν να συνεχίσουν το ταξίδι τους εντός Σένγκεν. Η ακεραιότητα κάθε σημείου ελέγχου είναι, επομένως, κοινή παραδοχή.

Άλλα κράτη-μέλη διαχειρίζονται αυτή την παραδοχή με διαφορετικό τρόπο. Η Nuctech διαθέτει κέντρο παραγωγής και υπηρεσιών κοντά στη Βαρσοβία, άρα η έκθεση της Πολωνίας είναι και φυσική: οι επισκευές και οι ενημερώσεις περνούν από τοπική θυγατρική της κινεζικής μητρικής εταιρείας. Το πλαίσιο της Λιθουανίας για την προστασία στρατηγικά σημαντικών υποδομών θα υπέβαλλε μια τέτοια αγορά σε έλεγχο ως προς την ιδιοκτησία και τους κινδύνους απομακρυσμένης πρόσβασης. Η Ολλανδία εντάσσει την κινεζική τεχνολογία στο πλαίσιο των ρητών προειδοποιήσεων για κατασκοπεία που εκδίδει η υπηρεσία πληροφοριών της. Η Εσθονία είναι η περίπτωση όπου η χρήση της Nuctech έχει επιβεβαιωθεί, αλλά το ίχνος διακυβέρνησης παραμένει αόρατο.

Κανόνες της ΕΕ όπως η οδηγία NIS2 ωθούν τους φορείς βασικών υπηρεσιών να διαχειρίζονται τον κίνδυνο στην αλυσίδα εφοδιασμού. Το Βέλγιο πρόσφατα μπλόκαρε την εξαγορά εταιρείας ελικοπτέρων με κινεζική σύνδεση, επικαλούμενο λόγους εθνικής ασφάλειας. Όμως η απόφαση προμήθειας, το ποιος αξιολόγησε τον προμηθευτή και ποια πρόσβαση του παραχωρήθηκε παραμένουν εθνική υπόθεση.

Οι Βρυξέλλες μπορούν να δυσκολέψουν τον επιδοτούμενο ανταγωνισμό. Δεν μπορούν να ελέγξουν εκ των υστέρων κάθε σαρωτή που ήδη λειτουργεί σε σύνορο. Το ερώτημα λογοδοσίας ανήκει στους εθνικούς αγοραστές. Μέχρι η Εσθονία να δημοσιοποιήσει πώς αξιολογήθηκε αυτή η προμήθεια, η συζήτηση θα μένει εγκλωβισμένη ανάμεσα στους φόβους για κατασκοπεία και στη σιωπή των διαγωνισμών, ενώ το πραγματικό κενό διακυβέρνησης θα παραμένει άλυτο.